Oracle Access Manager: Fehlende Authentifizierung in SAML-Authentifizierungsengine
Zusammenfassung
Oracle Access Manager, ein Produkt für Identitäts- und Single-Sign-on-Verwaltung aus Oracle Fusion Middleware, enthält eine Schwachstelle in der Authentication Engine. Die CNA stuft sie mit CVSS 9.8 (Kritisch) ein: Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann die SAML-Funktionalität erreichen und Access Manager übernehmen, mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Da Access Manager vor angebundenen Anwendungen liegt, kann sich eine Kompromittierung auf diese Anwendungen ausweiten. Einige Quellen melden widersprüchliche Details, daher ist die Oracle-Warnmeldung massgebend.
Betroffen
- Oracle Access Manager 12.2.1.4.0
- Oracle Access Manager 14.1.2.1.0
Behoben in
Unbekannt. Die Oracle Critical Patch Update Advisory für Oktober 2026 prüfen.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Netzwerkzugriff auf die SAML-Endpunkte von Access Manager bis zur Patchinstallation einschränken.
Ausnutzung
- Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Access Manager 12.2.1.4.0 oder 14.1.2.1.0 im Einsatz ist und ob dessen SAML-Endpunkte aus dem Internet erreichbar sind.
- Zugriff auf die SAML-Endpunkte einschränken und Protokolle bis zur Behebung auf unerwartete SAML-Authentifizierungsaktivitäten prüfen.
- Den Patch aus dem Oracle Critical Patch Update vom Oktober 2026 installieren, sobald die Fixversion in der Oracle-Warnmeldung bestätigt ist.
- Schweregrad und Angriffsdetails anhand der Oracle-Warnmeldung verifizieren, da Vulmon 9.3 angibt und Tenable einen HTTP-Zugriff beschreibt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Strix: CVE-2026-87251 www.strix.ai
- Vulners NVD mirror: CVE-2026-87251 vulners.com
- Tenable plugin 369015 www.tenable.com
- Waratek: Oracle October 2026 CPU waratek.com
- SecurityOnline: Oracle October 2026 CPU securityonline.info
- Breach-Signal: Oracle October 2026 CPU breach-signal.com
- Vulmon priority CVEs vulmon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.